Europese IT-uitgaven aan niet-EU leveranciers vormen een structurele strategische en juridische kwetsbaarheid voor overheden, juridische instellingen en gereguleerde sectoren. De businesscase voor soevereine substitutie, het verplaatsen van ICT-uitgaven naar Europese of zelfbeheerde alternatieven, steunt niet alleen op juridische risico’s maar ook op een objectieve kostenanalyse die verborgen afhankelijkheidskosten meeneemt.
Omvang van de Europese afhankelijkheid van niet-EU ICT
De Europese afhankelijkheid van niet-EU technologieleveranciers is aanzienlijk en raakt vrijwel alle publieke sectoren.
Mario Draghi stelde in zijn gelijknamige concurrentierapport uit 2024 onomwonden: “Europe spends around 300 billion euros per year on digital technologies, but most of this money flows outside the EU. We need to redirect these flows to build our own digital champions.” Dat rapport, formeel getiteld The Future of European Competitiveness, bezorgt beleidsmakers een kwantitatief kader voor wat jarenlang een politiek argument bleef.
Meer dan 65% van de ICT-budgetten van Europese overheden vloeit naar leveranciers buiten de EU, voornamelijk naar Amerikaanse bedrijven (Draghi-rapport, 2024). De sectoren met de sterkste concentratie zijn defensie-gerelateerde overheidsinstanties, justitie en politie, zorgadministratie en kritieke infrastructuurbeheerders. Landen als Duitsland, Frankrijk en Nederland hebben de grootste absolute afhankelijkheid door de omvang van hun publieke ICT-portfolio, terwijl kleinere lidstaten procentueel soms nog dieper in de hoek van één enkele leverancier zitten.
Economische kosten van strategische afhankelijkheid
Het EU Tech Sovereignty Package (COM(2026) 503) introduceert voor het eerst een gestructureerde methode om de economische kosten van technologische afhankelijkheid te kwantificeren, voorbij de directe licentiekosten.
Het pakket onderscheidt drie kostenlagen. De eerste is directe afhankelijkheidspremie: het prijsverschil dat een dominante leverancier kan vragen juist omdat overstap prohibitief duur is. De tweede is productiviteitsachterstand: het onvermogen om technologie snel aan te passen aan eigen beleidsbehoeften, omdat de roadmap van een buitenlandse aanbieder leidend is. De derde is verlies van innovatiecontrol: wanneer trainingsdata van overheidsdiensten in propriëtaire AI-modellen verdwijnt, verliest de publieke sector elk zicht op hoe die data toekomstige systemen vormt.
In samenhang met de EU Open Source Strategy 2026 stelt het pakket concrete budgettaire doelstellingen voor publieke investeringen in open-source software en gedeelde digitale infrastructuur. De redenering is dat iedere euro die nu in Europese of open-source alternatieven wordt geïnvesteerd, meervoudige lock-in-kosten in de toekomst voorkomt.
Buy European-criteria bij IT-aanbesteding: juridisch haalbaar
Directe nationale voorkeur is verboden onder de Europese aanbestedingsrichtlijnen, maar functionele soevereiniteitscriteria zijn wel degelijk afdwingbaar.
ENISA stelt hierover: “Public procurement of cloud services must consider not just price, but also data location, applicable law and the right to audit. These are legitimate and enforceable award criteria.”
CADA (Cloud Aanbestedingscriteria voor Dienstverlening door Aanbieders), in het bijzonder de artikelen 32 tot en met 34 van het Europese richtsnoerenkader voor publieke cloudinkoop, geeft inkopers een handreiking voor het formuleren van gunningscriteria die in de praktijk niet-Europese aanbieders kunnen uitsluiten zonder discriminerend te zijn. Concreet gaat het om:
- Verplichte opslag en verwerking van persoonsgegevens uitsluitend binnen de Europese Economische Ruimte.
- Aantoonbare uitsluiting van toepasselijkheid van extraterritoriale wetgeving, zoals de Amerikaanse CLOUD Act of Section 702 van de Foreign Intelligence Surveillance Act.
- Contractueel vastgelegd recht op technische audit door de aanbestedende dienst of een aangewezen derde partij.
- Portabiliteit van data in open, gedocumenteerde formaten zonder extra kosten bij beëindiging van het contract.
Deze criteria zijn functioneel, niet geografisch, en passeren daarmee de aanbestedingsrechtelijke toets. Tegelijk sluiten zij in de praktijk elke cloudleverancier uit waarop de CLOUD Act van toepassing is, omdat geen Amerikaanse onderneming juridisch kan garanderen dat gegevens buiten bereik van een Federal Court order blijven.
TCO-vergelijking: soevereine cloud versus hyperscaler
Een eerlijke total cost of ownership-analyse gaat verder dan de maandelijkse abonnementsprijs.
| Kostenpost | Hyperscaler (bijv. Microsoft 365 Business Premium) | Soevereine alternatief (bijv. beheerde Nextcloud + Europese hosting) |
|---|---|---|
| Licentie/abonnement (per gebruiker/jaar) | Hoog, jaarlijks stijgend | Laag tot matig, stabiel op open-source basis |
| Data-egresskosten bij overstap | Hoog, propriëtaire opslag | Laag, open formaten standaard |
| Juridische compliancekosten (CLOUD Act, GDPR) | Aanzienlijk, structureel risico | Minimaal bij EER-locatie en EU-recht |
| Ransomware- en incidentherstelkosten | Afhankelijk van abonnementsniveau | Beheersbaar met on-premise back-up en air-gap |
| Innovatiecontrol en AI-data | Opgelost in leveranciersplatform | Volledig in eigen beheer |
Voor organisaties met meer dan 100 gebruikers liggen de totale kosten van een beheerde soevereine Nextcloud-implementatie doorgaans 20 tot 40% lager dan vergelijkbare Microsoft 365-abonnementen, mits egresskosten en juridische compliancelasten correct worden meegeteld. Kleinere organisaties profiteren van gedeelde soevereine infrastructuur via een Europese managed service provider, zoals aanbieders die zijn aangesloten bij de EuroCloud Federation.
Structureel marktfalen in de Europese cloud
Europese cloudproviders houden slechts circa 15% marktaandeel, terwijl de vraag naar soevereine oplossingen aanwijsbaar groot is. Dat is geen toeval maar het resultaat van identificeerbare structurele oorzaken.
De EuroCloud Federation heeft deze oorzaken in kaart gebracht. De voornaamste zijn: een gefragmenteerde binnenmarkt waarbij 27 lidstaten verschillende inkoopregels, certificeringsvereisten en datawetten kennen; een chronisch tekort aan risicokapitaal voor scale-ups vergeleken met Amerikaanse concurrenten; netwerkefffecten die bestaande hyperscalerdiensten diep verankeren in bedrijfsprocessen; en een historisch gering niveau van publieke investeringen in gedeelde Europese digitale infrastructuur.
Het ENISA NIS Investments Report 2025 toont dat organisaties in de EU in 2023 gemiddeld 9,1% meer uitgaven aan cybersecurity dan het jaar ervoor, mede gedreven door NIS-2-verplichtingen. Toch stroomt dit geld grotendeels naar dezelfde niet-EU leveranciers voor beveiligingsproducten en managed services.
Beleidsmaatregelen die dit marktfalen proberen te adresseren zijn onder meer het EU Tech Sovereignty Package, de EU Open Source Strategy 2026 met expliciete publieke investeringsverplichtingen, het Europese Cybersecurity Certification Scheme (EUCS) dat soevereiniteitscriteria integreert in cloudcertificering, en het Europese Chips Act-raamwerk dat upstream technologische afhankelijkheid aanpakt. De EuroCloud Federation pleit daarnaast voor geharmoniseerde aanbestedingsrichtlijnen die soevereiniteitscriteria als standaard gunningscriterium codificeren, zodat publieke inkopers niet langer individueel het wiel hoeven uit te vinden.
Van analyse naar inkoopbeslissing
Voor compliance officers en IT-beslissers in de publieke sector, de juridische sector en gereguleerde branches biedt de combinatie van het Draghi-rapport, het EU Tech Sovereignty Package en de CADA-criteria nu een coherent argumentatiekader. De businesscase voor soevereine substitutie is niet langer een ideologisch standpunt maar een aantoonbare financiële en juridische noodzaak.
Een praktische eerste stap is het uitvoeren van een afhankelijkheidsaudit: welke systemen verwerken welke categorieën data, welk recht is van toepassing op de leverancier, en wat zijn de reële exitkosten? Vervolgens kunnen inkopers CADA-conforme criteria opstellen die soevereiniteitseis vertalen naar meetbare gunningscriteria. Daarna volgt een TCO-analyse die naast licenties ook juridische compliancelasten, data-egresskosten en incidentherstelscenario’s meeneemt. Op basis van die drie stappen is een gefundeerde make-or-buy-beslissing mogelijk, zonder dat de aanbestedingsregelgeving wordt geschonden en zonder dat de keuze berust op aannames in plaats van data.
Veelgestelde vragen
Mogen publieke inkopers de voorkeur geven aan Europese cloudleveranciers bij aanbesteding?
Directe nationale voorkeur is verboden onder EU-aanbestedingsregels, maar inkopers mogen functionele eisen stellen zoals gegevenslocatie binnen de EER, toepasselijk recht uitsluitend binnen de EU, recht op audit en aantoonbare GDPR-compliance. Deze criteria sluiten in de praktijk hyperscalers met CLOUD Act-blootstelling vaak uit, zonder dat sprake is van discriminerende voorkeursbehandeling.
Wat zijn de belangrijkste verborgen kosten bij gebruik van hyperscaler-clouddiensten?
Naast licentiekosten tellen mee: data-egresskosten bij overstap, vendor lock-in door propriëtaire API’s en bestandsformaten, juridische compliancekosten door extraterritoriale wetgeving zoals de CLOUD Act, herstelkosten na een datalek of ransomware-incident, en de opportunity cost van gederfde innovatiecontrol over eigen data en AI-modellen.
Wat houdt het EU Tech Sovereignty Package (COM(2026) 503) concreet in voor ICT-inkopers?
Het pakket introduceert een voorkeurskader voor open-source en Europees gecertificeerde clouddiensten bij overheidsopdrachten, versterkt de EU Open Source Strategy 2026 met concrete budgetverplichtingen, en geeft richtsnoeren voor het toepassen van CADA-criteria (artikelen 32 tot en met 34) bij cloudinkoop. Voor inkopers betekent dit dat soevereiniteitscriteria nu expliciet als gunningscriterium kunnen worden opgenomen.
Waarom hebben Europese cloudproviders ondanks grote vraag toch maar 15% marktaandeel?
Structurele oorzaken zijn een gefragmenteerde thuismarkt van 27 lidstaten met uiteenlopende regelgeving, beperkte toegang tot risicokapitaal vergeleken met Amerikaanse concurrenten, netwerkefffecten die bestaande hyperscalerdiensten verankeren, en historisch laag publiek investeringsniveau in eigen digitale infrastructuur. De EuroCloud Federation en de Europese Commissie pleiten voor gecombineerde regulerings- en investeringsmaatregelen om dit te doorbreken.
Is de TCO van een soevereine Nextcloud-omgeving werkelijk lager dan Microsoft 365?
Dit hangt sterk af van organisatiegrootte en interne beheercapaciteit. Voor organisaties met meer dan 100 gebruikers liggen de totale eigendomskosten van een beheerde soevereine Nextcloud-implementatie, inclusief hosting, licenties en support, doorgaans 20 tot 40% lager dan vergelijkbare Microsoft 365 Business Premium-abonnementen, mits rekening wordt gehouden met vermeden lock-in en egresskosten. Kleine organisaties hebben baat bij gedeelde soevereine infrastructuur via een Europese managed service provider.
